IP-Whitelisting
IP-Whitelisting ist eine Sicherheitsmaßnahme, bei der nur explizit genehmigte IP-Adressen auf ein System, Netzwerk oder eine Anwendung zugreifen dürfen. Alle anderen Verbindungsversuche werden automatisch blockiert.
Ausführliche Erklärung
IP-Whitelisting (auch IP-Allowlisting genannt) basiert auf dem Prinzip "Deny by Default" – alles ist verboten, außer es wurde ausdrücklich erlaubt. Ein Administrator erstellt eine Liste vertrauenswürdiger IP-Adressen oder IP-Adressbereiche, die mit bestimmten Ressourcen interagieren dürfen. Wenn ein Gerät eine Verbindung herstellen möchte, prüft das System die Ursprungs-IP-Adresse gegen diese Liste. Stimmt die Adresse überein, wird der Zugriff gewährt, andernfalls automatisch verweigert.
Für kleine und mittlere Unternehmen ist IP-Whitelisting eine vergleichsweise einfach zu implementierende Sicherheitsmaßnahme, die vor allem dann sinnvoll ist, wenn eine überschaubare Anzahl definierter Zugangspunkte existiert. Typische Anwendungsfälle sind der Schutz von Administrationsschnittstellen, API-Zugängen, VPN-Verbindungen oder Cloud-Diensten wie Office 365 oder Salesforce. Die Maßnahme verringert die Angriffsfläche erheblich, da unbekannte Quellen gar nicht erst zum System durchdringen.
Allerdings bringt IP-Whitelisting auch Herausforderungen mit sich. Dynamische IP-Adressen, wie sie viele Internetanbieter vergeben, ändern sich regelmäßig und erfordern eine kontinuierliche Pflege der Whitelist. Bei größeren Netzwerken oder vielen Remote-Mitarbeitern wird die Verwaltung schnell aufwendig. Zudem schützt IP-Whitelisting nicht vor IP-Spoofing – Angreifer können vertrauenswürdige IP-Adressen nachahmen. Aus diesem Grund sollte IP-Whitelisting stets mit weiteren Sicherheitsmaßnahmen wie Zwei-Faktor-Authentifizierung, VPN-Verbindungen oder modernen Zero-Trust-Ansätzen kombiniert werden.
Besonders praktikabel ist IP-Whitelisting in Kombination mit statischen IP-Adressen, etwa für feste Bürostandorte oder dedizierte Server. Für Remote-Mitarbeiter lässt sich die Komplexität reduzieren, indem diese über eine VPN-Verbindung mit fester IP auf das Unternehmensnetzwerk zugreifen und nur diese VPN-Gateway-Adresse in die Whitelist aufgenommen wird.
Praxisbeispiel
Eine Steuerberatungskanzlei mit 12 Mitarbeitern in Wien nutzt IP-Whitelisting, um den Zugriff auf ihr cloudbasiertes Mandantenverwaltungssystem zu sichern. Der IT-Dienstleister hinterlegt die statische IP-Adresse des Büros sowie die IP-Adressen zweier VPN-Server für Homeoffice-Zugriffe in der Whitelist der Cloud-Anwendung. Dadurch ist sichergestellt, dass sensible Mandantendaten ausschließlich von autorisierten Standorten aus abgerufen werden können, selbst wenn Login-Daten kompromittiert würden.
Code-Beispiel
# Beispiel: IP-Whitelisting in Apache .htaccess
# Nur bestimmte IP-Adressen zulassen
<RequireAll>
Require ip 192.168.1.50
Require ip 203.0.113.0/24
Require ip 198.51.100.10
</RequireAll>
# Alternativ: Alle blockieren, außer Whitelist
Order Deny,Allow
Deny from all
Allow from 192.168.1.50
Allow from 203.0.113.0/24